歐盟針對RFID的重要議題召開辯論
歐盟在 2006 年 3 月 10 日也舉辦了一場公開意見徵詢，主要徵詢意見的議題有跨國 RFID 系統互通、相容，以及在應用上可能因洩漏位址、身份及歷程而導致的隱私及安全問題。資訊社會及媒體委員會主席 Vivien Reding 表示，隨著晶片技術進步，晶片會變得越來越聰明， RFID 全面應用後可能引發的問題可能在未來會越來越嚴重。透過多網路的連結，必然會促進經濟的繁榮及生活品質的提升，但是隱私保護的問題若不解決，將可能會影響這項科技的應用。因此，對於 RFID 未來的應用應該達成一種社會共識（ society-wide consensus ）並預先建立可信賴的保護機制。
為此，執委會將公開徵求諮詢，預計在下半年會公布意見資料，後續並可能在進行 2002 年電子通訊及隱私保護指令的修正工作及檢討 RFID 頻率的指配。
隨著食物過敏與過胖等健康問題愈來愈受重視，美國FDA（Food and Drug Administration， 食品暨藥物管理局）規定從2006年1月1日起，食品製造商必須在食品標示上揭示產品中八種主要過敏原與反式脂肪（trans fat）含量，並且必須加強揭示卡路里含量、說明整個包裝所含的養分。 依據此項新規定，廠商必須在食品標籤上以簡易的文字，標示八種容易造成過敏的過敏原，包括核果（杏仁、胡桃、大胡桃）、牛奶、蛋類、魚類、甲殼綱蝦蟹、花生、大豆與小麥。至於反式脂肪，又稱為轉化脂肪或反脂肪，是不飽和脂肪酸的一種，它會刺激人體內低密度脂蛋白（LDL）的增加，進而使低密度蛋白膽固醇（LDL-C）的量增加。LDL-C又被稱為『壞膽固醇』或『不好的膽固醇』，它會間接刺激膽固醇升高，增加罹患心臟血管疾病的風險。過去一直沒有決定每人每天攝取量標準，因此在商品包裝上的營養成分表（Nutrition Facts Table）一直都沒有列出反式脂肪含量，但是新制上路後，在包裝標籤上面也必須列出反式脂肪含量。 在消費者越來越重視健康問題之趨勢下，未來如何製造反型脂肪低或零含量的食用加工油脂產品，相信會是相關業者所面臨的新挑戰。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
美國法院新判決，讓Rambus公司無法取得Micron公司的權利金美國德拉瓦（Delaware）州法庭於1月9日判決，記憶體晶片（DRAM）設計業者Rambus公司（Rambus Inc.）因在訴訟過程中，毀壞此一專利訴訟案件的相關文件與資料，使其專利不具執行力。因此無權以系爭的12項專利要求 Micron公司（Micron Technology Inc.）支付權利金。判決公告後，Rambus公司的股價因而重挫約40%。 兩家公司的紛爭可溯至2000年，該年度Micron公司曾控告Rambus公司，宣稱Rambus公司試圖掌控當時DRAM晶片的市場。當時，Rambus公司要求Micron公司在內的晶片製造業者須支付權利金給該公司，而晶片製造業者則予以反擊，宣稱Rambus公司取得專利的過程有瑕疵。 雙方除於法院進行訴訟外，並利用美國聯邦貿易委員會（FTC）進行紛爭處理，互有勝負。例如：去年11月，加州地方法院宣判Rambus公司控告Micron公司、海力士（Hynix）、三星電子（Samsung Electronics）與南亞科技（Nanya Technology）等公司侵權一案，獲得初步勝利。然而如今法院的判決卻又重擊Rambus公司，因為該判決可能使該公司往後難以利用其所擁有的專利，迫使其他晶片製造業者支付權利金，也因此造成Rambus公司股價重挫的情形。
美國最高法院對間接侵權及專利說明之定義作出最新判決見解為了減少美國專利訴訟泛濫，及防止專利蟑螂輕易向他人提起專利訴訟，美國最高法院在2014年6月 對兩件專利訴訴訟案進行判決，此決定也對專利權人及專利蟑螂不利。 首先，最高法院針對Limelight Networks v. Akamai Technologies否決聯邦上訴法院的判決。聯邦法院認為Limelight雖然沒有使用Akamai商業方法中每一個過程步驟之專利，但其使用其方法專利之其中方法就算造成間接侵權（induced infringement）。然最高法院認為，聯邦法院的判決對於間接構成侵權有誤解，Limelight所使用的商業方法並沒有引導間接構成侵權。此決定對於現今網路科技盛行之時代有很重要的影響，更防止不實施專利體及專利蟑螂隨意對潛在對象提起專利訴訟。 另一個案件為Nautilus, Inc. v. Biosig Instruments, Inc，最高法院亦駁回聯邦上訴法院之判決，對於專利說明（patent claim）的內容清楚性作出新的說明。聯邦上訴法院在此案中對於專利法第112條中專利說明的要求作出解釋，認為凡是專利說明不會難以解釋且模糊（insolubly ambiguous），專利說明皆可符合專利法規定。但最高法院採不同見解，認為聯邦法院的見解不符合專利法之規定，規定專利說明的內容必須要合理且明確，使可符合專利法的要求。此決定對於專利蟑螂尤其是一大打擊，過往專利蟑螂多以模糊的專利說明來進行專利訴訟，但今後要求明確的專利說明，讓雙方有更清楚的專利說明依據進行專利訴訟。